Unzureichende IT-Sicherheit Citrix
der Abgeordneten Joana Cotar, Uwe Schulz, Dr. Michael Espendiller und der Fraktion der AfD
Vorbemerkung
In deutschen Unternehmen und Organisationen werden trotz jahrelanger Bemühungen der Bundesregierung, der IT-Sicherheit eine zentrale Bedeutung zukommen zu lassen, immer noch fahrlässig ungesicherte Systeme betrieben (https://fm4.orf.at/stories/3007764/). Das Resultat sind unter anderem unwiderruflich verlorene Daten, Datenleaks, Erpressungen, Ausfall systemrelevanter Infrastruktur und im schlimmsten Fall sogar Todesfälle (https://www.tagesspiegel.de/gesellschaft/panorama/it-ausfall-im-krankenhaus-frau-nach-hacker-angriff-auf-duesseldorfer-uni-klinik-verstorben/26195960.html).
Um dem entgegenzuwirken, versucht das CERT (Computer Emergency Response Team) des Bundesministeriums des Innern, für Bau und Heimat (BMI) gerade, „die letzten immer noch ungesicherten Citrix-Maschinen postalisch zu kontaktieren. Eine unbekannte Zahl spät gesicherter Systeme ist seit dem Frühjahr mit Hintertüren versehen. Für die F5-Gateways gilt dasselbe seit Ende Juli.“
Hier besteht nach Ansicht der Fragesteller akuter Handlungsbedarf, um das Schadenspotential auf ein Minimum zu reduzieren.
Wir fragen die Bundesregierung:
Fragen6
Wie häufig haben Bundesbehörden Betreiber von unzureichend gesicherten IT-Komponenten postalisch kontaktiert?
Versucht die Bundesregierung, neben einer Kontaktaufnahme per Post andere Möglichkeiten wie Fax, telefonische, persönliche Kontaktaufnahme zu nutzen?
Welche IT-Systeme sind nach Kenntnis der Bundesregierung von den Angriffen betroffen (bitte die IT-Systeme auflisten)?
Wie hoch schätzt die Bundesregierung die Zahl der in Deutschland zu spät gesicherten Citrix-Systeme, welche mittlerweile mit Hintertüren versehen sind oder höchstwahrscheinlich versehen werden könnten?
Hat die Bundesregierung Grund zu der Annahme, dass von den weiterhin ungesichert betriebenen Citrix-Systemen direkt oder indirekt kritische Infrastruktur (KRITIS) betroffen ist?
Wenn nein, warum nicht?
Sieht die Bundesregierung legislativen Handlungsbedarf, um die Sicherheit der IT-Systemlandschaft generell zu verbessern, und wenn ja, welche Initiativen plant die Bundesregierung diesbezüglich?